1. No category

Databehandleraftale 2013
For kunder, som anvender hostede/SaaS INNOMATE®HR løsninger1, forpligter INNOMATE a/s sig
på følgende Databehandleraftale:
1.
I overensstemmelse med Persondataloven, er INNOMATE a/s registreret som edbservicebureau hos Datatilsynet.
2.
I overensstemmelse med bestemmelserne i Persondataloven har INNOMATE a/s truffet
de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod
3.
a.
at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes,
b.
at de kommer til uvedkommendes kendskab, misbruges eller
c.
i øvrigt behandles i strid med lov om behandling af personoplysninger.
På den dataansvarliges anmodning giver databehandleren den dataansvarlige
tilstrækkelige oplysninger til, at denne kan påse, at de nævnte tekniske og
organisatoriske sikkerhedsforanstaltninger er truffet.
4.
Er den dataansvarlige en offentlig myndighed, indestår databehandleren for at
bestemmelserne i Sikkerhedsbekendtgørelsen (Bekendtgørelse om
sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den
offentlige forvaltning) overholdes, herunder at databehandleren handler alene efter
instruks fra den dataansvarlige.
5.
Den dataansvarlige foranlediger udarbejdelsen af en årlig revisionserklæring fra en
uafhængig tredjepart. Revisionserklæringen kan rekvireres ved henvendelse til
[email protected].
Supplerende oplysninger
IT sikkerhedspolitik for INNOMATE a/s
Log
I kundens database føres en log over samtlige godkendte og ikke-godkendte logins i systemet med
angivelse af brugerID og IP-adresse. Det er muligt at sætte en lockout-politik op, så et vist antal fejlende
logins lukker en bruger ude af systemet i en periode.
Der føres ligeledes en log over samtlige sidevisninger og ændringer af data, der er sket i systemet.
Hændelsesloggen er udviklet med henblik på at opfylde kravet til logning i §19 i Bekendtgørelse nr. 528 af
15. juni 2000 om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den
offentlige forvaltning.
I forbindelse med udførelsen af opgaver og support for kunden samt fejlretninger eller anden
systemvedligeholdelse, vil medarbejdere fra INNOMATE tilgå kundens database. Dette vil fremgå af
hændelsesloggen. Alle oplysninger behandles fuldt fortroligt.
1
INNOMATE®HR, herunder tillægsmodulerne Rekruttering og Kursus og brancheløsningen Medarbejderplan.
21-05-2013
Side 1 af 3
Password-beskyttelse
Systemadgang er baseret på brugeridentifikation med tilhørende password, hvor den enkelte bruger er
tildelt et personligt og fortroligt password. Kunden fastlægger og administrerer selv passwordpolitikken (krav
til passwords kompleksitet og evt. udløb) i overensstemmelse med egne regler.
Single sign-on
Ved hjælp af software installeret på egen server, kan der etableres single sign-on, der betyder, at et
personligt login på netværk medfører samtidig login på INNOMATE®HR.
Alternativt kan der etableres single sign-on via WAYF (www.wayf.dk).
Rapportering af fejl
Der defineres to niveauer af fejl:
Kritisk fejl: Fejl, der efter kundens vurdering gør, at systemet eller en hovedfuntionalitet, ikke kan anvendes
eller er sikker at bruge.
Ikke-kritisk fejl: Andre fejl.
Fejl rapporteres til e-mail adressen [email protected]. Der kvitteres for rapporteringen indenfor 4
timer i åbningstiden.
Ved kritiske fejl påbegyndes fejlretningen umiddelbart efter kvitteringen. Løsningen søges implementeret
hurtigst muligt og lægges i produktion efterfølgende tirsdag eller fredag
Support
Supporten ydes mandag-fredag kl. 8.30-15.00 ved henvendelse på telefon 70 20 83 43 eller e-mail
[email protected].
Sikkerhed ved SaaS-løsning
Driftseffektivitet
Driftseffektiviteten er defineret som forholdet mellem tilgængelig driftstid og aftalt driftstid: Tilgængelig
driftstidx100/Aftalt driftstid
Ved tilgængelig driftstid forstås den aftalte driftstid minus den tid, hvor systemet eller en del af dette ikke
kan opfylde de fastlagte funktionalitetskrav på grund af fejl i det af leverandøren leverede programmel.
Driftshindringer, som kunden er ansvarlig for, og udefra kommende forstyrrelser (ikke tilgængeligt
driftsmiljø, elafbrydelse, fejl i datanet o.lign.), fragår ikke i opgørelsen af den tilgængelige driftstid.
Driftsafbrydelse regnes fra det tidspunkt, hvor INNOMATE har modtaget fejlmelding fra Kunden, og indtil
normal drift er genetableret.
Den aftalte driftstid, hvor der er aftalt en garanteret driftseffektivitet (oppetid), og som indgår i beregningen
af driftseffektiviteten, skal være tilgængelig i tidsrummet: Mandag til torsdag kl. 8.30 – 16.00, Fredag kl.
8.30 – 15.00.
21-05-2013
Side 2 af 3
Driftseffektiviteten skal være mindst 98%. Såfremt der konstateres negativ afvigelse i driftseffektiviteten,
anses dette som en fejl, der kan fejlmeldes.
Som udgangspunkt er der adgang til systemerne i alle døgnets 24 timer.

I forbindelse med mindre opdateringer og anden systemvedligeholdelse kan der dog optræde
driftsforstyrrelser tirsdage, fredage og lørdage i tidsrummet kl. 22-06.

Ved større systemvedligeholdelse varsles kunderne forinden.
Driftscenter
SaaS-løsningen driftes på en server, der er fysisk placeret hos ScanNet i Kolding (www.scannet.dk).
ScanNet garanterer bl.a.:

højtydende firewalls,

døgnbemanding,

redundant 1 Gbit fiberlinie tilgang,

UPS/Nødgenerator sikret (strømbackup),

tyveri-, brand- og fugtsikrede lokaler.
Database
Data er placeret på en Microsoft SQL server i adskilte databaser (ingen mulighed for sammenblanding af
flere kunders data).
Backup
Der gennemføres daglig backup af alle databaser.

En daglig backup opbevares for de seneste 14 dage.

En månedlig backup opbevares i seneste 3 måneder

En kvartalsvis backup opbevares for det seneste år.
Backup opbevares på en lokation, fysisk adskilt fra server.
Datakryptering
Al datatransport mellem brugeren og INNOMATE's server er beskyttet af SSL kryptering.
Der foreligger erklæringer fra uafhængige revisorer vedrørende generelle IT-kontroller

hos vores driftscenter A/S ScanNet, 01.01-31.12.2012, 13.05.2013

hos INNOMATE a/s, 06.06.2013
21-05-2013
Side 3 af 3
Deloitte
Statsautoriseret Revisionspartnerselskab
CVR-nr. 33 96 35 56
Weidekampsgade 6
Postboks 1600
0900 København C
Telefon 36 10 20 30
Telefax 36 10 20 40
www.deloitte.dk
A/S ScanNet
ISAE 3402 Type 2
Uafhængig revisors erklæring angående
generelle it-kontroller relateret til driftsog hostingydelser for 1. januar 2012 til
31. december 2012
Medlem af Deloitte Touche Tohmatsu Limited
Deloitte
1
1. Uafhængig revisors erklæring
Til ledelsen hos A/S ScanNet, A/S ScanNets kunder og deres revisorer.
Omfang
Vi har fået til opgave at erklære os vedrørende A/S ScanNets udsagn i afsnit 2 samt de tilhørende
beskrivelser af system- og kontrolmiljøet i afsnit 3 for A/S ScanNets drifts- og hosting-ydelser, omfattende design, implementering og effektivitet af kontroller anført i beskrivelsen. A/S ScanNets beskrivelse omhandler de kontroller, som er etableret til sikring af system-, data- og driftsikkerheden for
applikationer og underliggende infrastruktur på de serviceydelser, som A/S ScanNet tilbyder driftsog hostingkunder (generelle it-kontroller).
Denne erklæring er udarbejdet efter helhedsmetoden og omfatter således ledelsens beskrivelse af kontrolmål og de hertil hørende kontrolaktiviteter hos A/S ScanNet på alle områder indenfor de generelle
it-kontroller, som kan henføres til de leverede serviceydelser.
A/S ScanNets ansvar
A/S ScanNet er ansvarlig for udarbejdelse af efterfølgende udsagn samt beskrivelse af system- og
kontrolmiljøet, jf. afsnit 3. A/S ScanNet er endvidere ansvarlig for sikring af beskrivelsens fuldstændighed og nøjagtighed, herunder sikre en korrekt fremstilling og præsentationen af udsagn og beskrivelse i denne erklæring. Det er endvidere A/S ScanNets ansvar at levere de ydelser, som beskrivelsen
omfatter og at udforme og designe samt implementere effektive kontroller for at opnå de identificerede kontrolmål.
Revisors ansvar
Det er vores ansvar, baseret på vores procedurer, at udtrykke en konklusion om A/S ScanNets beskrivelse samt om design, implementering og effektivitet af kontroller relateret til de kontrolmål, der er
anført i deres beskrivelse. Vi har udført vores arbejder i henhold til International Standard on Assurance Engagements 3402, “Assurance Reports on Controls at a Service Organization,” udgivet af International Auditing and Assurance Standards Board. Denne standard kræver, at vi opfylder etiske
krav samt planlægger og udfører vores procedurer med henblik på at opnå en høj grad af sikkerhed
for, at beskrivelsen i alle væsentlige henseender er dækkende, og kontrollerne er hensigtsmæssigt
designet og fungerer effektivt.
En erklæringsopgave med sikkerhed for beskrivelsen, design og effektiviteten af kontroller hos A/S
ScanNet omfatter udførelse af procedurer med henblik på at opnå bevis for A/S ScanNets beskrivelse
Deloitte
2
af sit system samt for kontrollernes design og effektivitet. De udvalgte procedurer afhænger af revisors vurdering, herunder vurdering af risikoen for, at beskrivelsen ikke fremstår dækkende, og at kontroller ikke er hensigtsmæssigt designet eller ikke fungerer effektivt. Vores procedurer omfatter en
test af effektiviteten af de kontroller, som vi anser som nødvendige for at opnå en høj grad af sikkerhed for, at de kontrolmål, der er anført i beskrivelsen bliver nået. Vores procedure omfatter endvidere
en vurdering af den samlede præsentation af beskrivelsen, hensigtsmæssigheden af de heri anførte
kontrolmål samt hensigtsmæssigheden af de kriterier, som serviceleverandøren har specificeret og
beskrevet i afsnit 2.
Det er vores opfattelse, at det opnåede bevis er tilstrækkeligt og egnet til at danne grundlag for vores
konklusion.
Begrænsninger i kontroller hos en serviceleverandør
A/S ScanNets beskrivelse er udarbejdet med henblik på at imødekomme kravene fra en bred vifte af
kunder og disses revisorer og kan derfor ikke omfatte alle aspekter af kontrol i et system, som den
enkelte kunde anser som værende vigtigt for eget kontrolmiljø. Kontroller i en servicevirksomhed kan
heller ikke i sagens natur forhindre eller opdage alle fejl eller udeladelser i proces- eller rapporteringstransaktioner. Derudover er forskydningen af effektivitetsvurdering udsat for den risiko, at kontroller i
en servicevirksomhed kan blive utilstrækkelige eller fejle.
Endvidere vil en anvendelse af vores konklusion på efterfølgende perioders transaktioner være undergivet en risiko for, at der foretages ændringer af systemer eller kontroller, eller i virksomhedens overholdelse af de beskrevne politikker og procedurer, hvorved vor konklusion muligvis ikke længere vil
være gældende.
Konklusion
Vores konklusion er udformet på basis af de forhold, der er beskrevet i denne erklæring. De kriterier,
som vi har anvendt i forbindelse med vores konklusion er beskrevet i afsnit 4. På grundlag af den
udførte revision er det vores vurdering, at:
a)
beskrivelsen af de generelle it-kontroller med relevans for system-, data- og driftssikkerheden for
A/S ScanNets kunder, således som de var udformet og implementeret i perioden 01.01.2012 31.12.2012, i alle væsentlige henseender er dækkende
b)
kontrollerne, som knytter sig til de kontrolmål, der er anført i beskrivelsen i alle væsentlige henseender var hensigtsmæssigt udformet i hele perioden 01.01.2012 - 31.12.2012
3
Deloitte
c)
de testede kontroller, som var de kontroller, der var nødvendige for at give høj grad af sikkerhed
for, at kontrolmålene i beskrivelsen blev nået i alle væsentlige henseender har fungeret effektivt i
hele perioden 01.01.2012 - 31.12.2012.
Beskrivelse af test af kontroller
De specifikke kontroller, der blev testet samt arten, den tidsmæssige placering og resultatet af disse
tests fremgår af afsnit 4.
Tiltænkte brugere og formål
Denne erklæring, beskrivelse af system- og kontrolmiljø i afsnit 3 samt vores test af kontroller i afsnit
4 er udelukkende tiltænkt kunder, der har anvendt A/S ScanNets ydelser og disses revisorer, og som
har tilstrækkelig forståelse til at overveje den sammen med anden information, herunder information
om kundernes egne kontroller, når de vurderer risici for væsentlige fejlinformationer i deres regnskaber.
København, d. 13. maj 2013
Deloitte
Statsautoriseret Revisionspartnerselskab
Steen Gellert-Kristensen
statsautoriseret revisor
Henrik Roed Svendsen
director, CISA, CEGIT